performance.now + Force heavy task
Exploit taken from https://blog.huli.tw/2022/06/14/en/justctf-2022-xsleak-writeup/
У цьому виклику користувач міг надіслати тисячі символів, і якщо прапор містився, символи поверталися б боту. Таким чином, надіславши велику кількість символів, зловмисник міг виміряти, чи містився прапор у надісланому рядку чи ні.
Спочатку я не встановлював ширину та висоту об'єкта, але пізніше я зрозумів, що це важливо, оскільки розмір за замовчуванням занадто малий, щоб вплинути на час завантаження.
Last updated